SAP · NetWeaver
CVE-2017-12637
SAP NetWeaver Directory Traversal Vulnerability
چیست
Directory traversal vulnerability in scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS in SAP NetWeaver Application Server Java 7.5 allows remote attackers to read arbitrary files via a .. (dot dot) in the query string, as exploited in the wild in August 2017, aka SAP Security Note 2486657.
CISA: SAP NetWeaver Application Server (AS) Java contains a directory traversal vulnerability in scheduler/ui/js/ffffffffbca41eb4/UIUtilJavaScriptJS that allows a remote attacker to read arbitrary files via a .. (dot dot) in the query string.
چه باید کرد
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
مهلت برای نهادهای فدرال آمریکا: ۹ آوریل ۲۰۲۵
آسیب‌پذیری‌های دیگر SAP که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۱۵ مه ۲۰۲۵ | Deserialization | NetWeaver | بحرانی ۹٫۱ | ۱۳% |
| ۲۹ آوریل ۲۰۲۵ | Unrestricted File Upload | NetWeaver | بحرانی ۱۰٫۰ | ۹۹٫۵% |
| ۹ ژوئن ۲۰۲۲ | SQL Injection | NetWeaver | بحرانی ۹٫۸ | ۷۲% |
| ۹ ژوئن ۲۰۲۲ | Information Disclosure | NetWeaver | متوسط ۵٫۳ | ۵۲% |
| ۹ ژوئن ۲۰۲۲ | Unrestricted File Upload | NetWeaver | بحرانی ۹٫۹ | ۳۷% |
| ۳ نوامبر ۲۰۲۱ | Remote Code Execution | NetWeaver | بحرانی ۱۰٫۰ | ۱۸% |
| ۳ نوامبر ۲۰۲۱ | Directory Traversal | NetWeaver | بالا ۷٫۵ | ۴۷% |
| ۳ نوامبر ۲۰۲۱ | XML External Entity (XXE) | NetWeaver | متوسط ۶٫۵ | ۲۴% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.